IIS 应用程序池 3 种标识：ApplicationPoolIdentity / LocalSystem / LocalService 权限区别（超清晰）
我给你用最直白、最实用 的方式讲清楚它们的权限、安全性、适用场景，你一看就知道该选哪个。
一句话总结（最重要）
- ApplicationPoolIdentity（默认） ：权限最小、最安全 → 只能访问网站目录，不能随便写其他盘
- LocalService ：中等权限 → 本机够用，不能跨机器
- LocalSystem ：最高权限（管理员） → 什么都能做，最不安全
一、3 种标识详细对比
1. ApplicationPoolIdentity（默认推荐）
是什么
IIS 为每个应用池单独创建的虚拟账号，格式：
IIS APPPOOL\应用池名称权限
- 仅拥有网站目录的默认权限
- 无法访问 C盘、D盘其他文件夹
- 无法访问数据库、网络共享
- 无法操作系统服务
优点
- 最安全（被攻击也影响最小）
- 隔离性强（一个网站崩了不影响其他）
- 微软官方生产环境推荐
缺点
- 写 D盘、访问数据库、读写网络路径都需要手动授权
适用场景
- 生产环境 99% 用这个
- 安全要求高的 WebAPI / Web 项目
2. LocalService（本地服务）
是什么
Windows 内置的标准服务账号
权限
- 本机普通用户权限
- 可以访问本机大部分资源
- 没有网络权限（不能访问其他电脑/共享）
- 不能操作注册表、系统目录
优点
- 比默认权限高，不用手动给 D盘授权
- 比 LocalSystem 安全
缺点
- 不能跨机器访问
- 安全性中等
适用场景
- 本机服务、本地日志、本地文件读写
3. LocalSystem（本地系统，管理员级）
是什么
Windows 最高权限账号 = 管理员 + 系统特权
权限
- 本机完全控制
- 读写任意磁盘（C/D/E 盘随便写）
- 操作服务、注册表、数据库
- 访问网络共享
优点
- 权限最大，永远不会报权限错误
- 不用配置任何文件夹权限
缺点
- 极其不安全
- 一旦网站被攻击，攻击者直接拿到整个服务器权限
- 微软强烈不推荐在生产使用
适用场景
- 本地测试
- 必须操作系统级功能的特殊服务
- 绝不建议 WebAPI 使用
二、最直观对比表
| 标识 | 权限级别 | 能否写 D盘 | 安全性 | 生产推荐 |
|---|---|---|---|---|
| ApplicationPoolIdentity | 最小 | ❌ 默认不能 | ⭐⭐⭐⭐⭐ | ✅ 强烈推荐 |
| LocalService | 中等 | ✅ 可以 | ⭐⭐⭐ | ✅ 可用 |
| LocalSystem | 最高（管理员） | ✅ 随便写 | ⭐ | ❌ 不推荐 |
三、你现在的场景（写 D盘日志）应该用哪个？
最佳方案（安全 + 标准）
用 ApplicationPoolIdentity + 给 D盘日志目录授权
（我上一条消息教你的就是这个）
最快方案（测试/临时）
直接改成 LocalSystem，立刻能写 D盘，不用配置权限
折中方案
用 LocalService
四、我给你最终建议（生产环境必须看）
正式服务器 = 必须用
ApplicationPoolIdentity
然后手动给日志目录授权，这是标准运维规范。
测试服务器 = 随便
LocalSystem 最省事。
总结
- ApplicationPoolIdentity ：默认、最小权限、最安全、生产必选
- LocalService：中等权限、本机够用
- LocalSystem ：最高权限、不安全、仅测试用
- 你要写 D盘日志：要么授权给应用池账号，要么用 LocalSystem
需要我再教你一遍如何给 ApplicationPoolIdentity 授权 D盘吗？我可以给你一步一图式操作。
关于 IIS7.0下文件写入无权限的解决办法
https://blog.csdn.net/liuyaokai1990/article/details/110418277